Password manager aziendale: guida alla scelta

Per scegliere un password manager aziendale verifica quattro cose: architettura zero-knowledge con cifratura AES-256, console di amministrazione con ruoli e log di audit, condivisione delle credenziali per gruppi di lavoro e integrazione con la tua directory (Microsoft Entra ID o Google Workspace) per attivare e disattivare gli utenti in automatico. Poi decidi tra cloud e self-hosted in base a chi lo gestirà nel tempo.

Che cos'è un password manager aziendale (e perché il file Excel non lo è)

Un password manager aziendale è una cassaforte digitale centralizzata: ogni collaboratore ha il proprio vault cifrato per le credenziali personali, e l'azienda dispone di vault condivisi per le password di reparto — il gestionale, i portali dei fornitori, i social aziendali, gli accessi bancari. Tutto è protetto da un'unica master password (più un secondo fattore) e amministrato da una console centrale.

La differenza con il "sistema" che troviamo in tantissime PMI — il file Excel password.xlsx sul server, il post-it sotto la tastiera, la password unica riciclata su venti servizi — è sostanziale. Il file Excel è leggibile da chiunque vi acceda, non traccia chi ha visto cosa, non si aggiorna quando un collaboratore se ne va e, se un attaccante entra in rete, è il primo bottino che cerca. Nella nostra esperienza di risposta agli incidenti, un foglio di calcolo con le credenziali in chiaro trasforma una compromissione limitata in una compromissione totale: è spesso il ponte che porta al blocco completo dell'azienda, come raccontiamo nell'articolo su come proteggere l'azienda dal ransomware.

Perché la tua PMI ne ha bisogno adesso

Le credenziali rubate o deboli restano il vettore d'ingresso più comune negli attacchi alle aziende. Il meccanismo tipico è il credential stuffing: un servizio esterno subisce un data breach, la coppia email + password finisce in vendita, e gli attaccanti la provano in automatico su Microsoft 365, sulla VPN, sul gestionale. Se il tuo commerciale usa la stessa password sul CRM e su un forum compromesso nel 2021, quella password è già nelle liste giuste.

Un password manager aziendale rompe questo schema alla radice, perché rende pratico ciò che a mano è impossibile: una password lunga, casuale e diversa per ogni servizio, generata dal software e compilata in automatico. Nessuno deve più ricordare nulla, quindi nessuno ricicla più nulla.

C'è poi un tema di conformità. Chi rientra — direttamente o come fornitore — nel perimetro della direttiva europea sulla sicurezza informatica deve dimostrare misure di gestione degli accessi documentate e verificabili: ne parliamo nella guida su NIS2 e cosa cambia per le PMI. Un password manager con log di audit è una delle evidenze più semplici da produrre in caso di verifica, e lo stesso vale per il GDPR sul fronte delle misure tecniche adeguate.

Le funzioni che deve avere davvero

Il mercato offre decine di prodotti. Questi sono i requisiti che, nei progetti che seguiamo, separano gli strumenti seri dai gadget.

Architettura zero-knowledge e cifratura

Il vault deve essere cifrato sul dispositivo dell'utente, con AES-256, prima che qualsiasi dato raggiunga i server del fornitore. Si chiama architettura zero-knowledge: nemmeno il produttore può leggere le tue password, perché la chiave deriva dalla master password tramite funzioni robuste come PBKDF2 o Argon2 e non lascia mai il client. Se un fornitore può "recuperarti la password dimenticata" leggendola, scartalo: significa che può leggerla anche chiunque comprometta i suoi sistemi.

Console di amministrazione, ruoli e audit

La versione business si distingue da quella consumer proprio qui: l'IT manager (o il partner che gestisce l'infrastruttura) deve poter definire policy — lunghezza minima delle password, MFA obbligatoria, blocco della riutilizzazione — assegnare ruoli e permessi granulari, e consultare log di audit: chi ha accedito a quale credenziale condivisa e quando. Senza questa visibilità, in caso di incidente non sai quali accessi considerare compromessi.

Condivisione sicura per gruppi

Le password di team vanno gestite in collezioni o cartelle condivise con permessi per gruppo: l'amministrazione vede gli accessi bancari, il marketing vede i social, e nessuno dei due vede le credenziali dell'altro. La condivisione deve poter essere in sola lettura — l'utente usa la credenziale senza poterla visualizzare né esportare — e revocabile in un clic.

Integrazione con la directory e SSO

Per aziende dai 15-20 utenti in su, l'integrazione con Microsoft Entra ID o Google Workspace via SCIM è ciò che rende sostenibile la gestione: il nuovo assunto riceve il vault al primo accesso, e chi esce dall'azienda perde istantaneamente l'accesso a tutte le credenziali condivise. L'offboarding è il momento in cui i sistemi manuali falliscono sempre; con il provisioning automatico diventa un non-evento. Il login tramite SSO, protetto dalla MFA aziendale, chiude il cerchio.

MFA, passkey e monitoraggio

Il vault stesso va protetto con autenticazione a più fattori, e i prodotti migliori fanno anche da authenticator TOTP per gli altri servizi e supportano le passkey, il futuro senza password. Utili anche i report di igiene (password deboli, riutilizzate, scadute) e il monitoraggio del dark web, che avvisa quando una credenziale aziendale compare in un data breach pubblico.

Cloud o self-hosted: quale conviene alla tua azienda

È la domanda che ci fanno più spesso, e la risposta onesta dipende da chi gestirà lo strumento.

Cloud (SaaS) — il fornitore ospita il servizio; tu paghi una licenza per utente al mese. Zero infrastruttura da mantenere, aggiornamenti automatici, disponibilità garantita. Con un'architettura zero-knowledge autentica, il fatto che i vault cifrati risiedano sui server del vendor non è il rischio che sembra: il fornitore custodisce dati che non può leggere. È la scelta giusta per la stragrande maggioranza delle PMI. Verifica solo dove risiedono i dati (data center UE) e le certificazioni del fornitore, come SOC 2 o ISO 27001.

Self-hosted (on-premise) — soluzioni come Vaultwarden o le versioni installabili dei prodotti commerciali girano su un tuo server, tipicamente una macchina virtuale in azienda o in un cloud privato. Controllo totale sui dati, costi di licenza ridotti o nulli. Ma il rovescio della medaglia è serio: aggiornamenti, backup del vault, certificati, hardening ed esposizione sicura per chi lavora fuori sede diventano responsabilità tua. Un password manager self-hosted non aggiornato è un bersaglio ad altissimo valore. Ha senso se hai requisiti stringenti di data residency e — condizione non negoziabile — qualcuno che lo gestisca con metodo, internamente o tramite un contratto di gestione. Per l'accesso dall'esterno vale quanto scritto nella guida alla VPN aziendale: mai esporre il servizio nudo su Internet.

I 5 errori che vediamo più spesso

1. Comprare le licenze e non fare l'onboarding. Il password manager funziona solo se lo usano tutti. Serve una migrazione guidata delle credenziali esistenti e mezz'ora di formazione per reparto, altrimenti dopo tre mesi metà azienda è tornata al post-it.
2. Non proteggere il vault con la MFA. La master password diventa il punto di rottura unico: senza secondo fattore, un phishing riuscito consegna tutto.
3. Lasciare le credenziali condivise "esportabili". Se l'utente può visualizzare ed esportare le password di team, la revoca all'uscita non revoca nulla.
4. Dimenticare gli account privilegiati. Le credenziali di dominio, dei firewall, degli hypervisor e dei portali cloud meritano un vault separato con accesso ristretto ai soli amministratori: è il primo passo verso una gestione PAM degna di questo nome.
5. Considerarlo l'unica difesa. Il password manager governa le identità, ma non vede cosa succede sugli endpoint: per quello servono strumenti di protezione attiva degli endpoint, che meritano un discorso a parte.

Come lo implementiamo in TN Solutions

Da oltre 25 anni affianchiamo le PMI lombarde come system integrator, e la gestione delle credenziali è uno dei tasselli dei nostri progetti di sicurezza informatica per aziende. Il percorso tipico: assessment delle credenziali esistenti (dove sono, chi le conosce, quali sono già trapelate), scelta della piattaforma in base a dimensione e vincoli normativi, integrazione con Microsoft 365 o Google Workspace, migrazione dei vault, definizione delle policy e formazione degli utenti. Lavoriamo con procedure certificate ISO 9001 e ISO 27001 — la stessa norma che chiediamo ai fornitori che consigliamo.

Parliamone: 30 minuti per capire da dove partire

Se le password della tua azienda vivono ancora in un file Excel o nella memoria di tre persone, il momento giusto per sistemarle è prima dell'incidente, non dopo. Ti aiutiamo a scegliere e implementare il password manager aziendale adatto alla tua realtà, integrato con il resto della sicurezza.

Chiamaci allo 02 9517550 o contattaci dalla pagina dedicata: un confronto di 30 minuti con un nostro sistemista, senza impegno, per valutare la situazione e proporti un percorso concreto.